华为云用户手册

请求消息头 附加请求头字段，如指定的URI和HTTP方法所要求的字段。例如定义消息体类型的请求头“Content-Type”，请求鉴权信息等。 如下公共消息头需要添加到请求中。 Content-Type：消息体的类型（格式），必选，默认取值为“application/json”。 X-Auth-Token：用户Token，可选，当使用Token方式认证时，必须填充该字段。X-Auth-Token是调用获取 IAM 用户Token（使用密码）接口返回的响应值，该接口功能为 获取Token ，因此调用该接口时，不用填写本字段。 公有云API同时支持使用AK/SK认证，AK/SK认证是使用SDK对请求进行签名，签名过程会自动往请求中添加Authorization（签名认证信息）和X-Sdk-Date（请求发送的时间）请求头。AK/SK认证的详细说明请参见：AK/SK认证。 对于获取IAM用户Token（使用密码）接口，由于不需要认证，所以只添加“Content-Type”即可，添加消息头后的请求如下所示。 POST https://iam.cn-north-1.myhuaweicloud.com/v3/auth/tokensContent-Type: application/json

请求URI 请求URI由如下部分组成。 {URI-scheme}:// {Endpoint} / {resource-path} ? {query-string} 表1 请求URL 参数 说明 URI-scheme 传输请求的协议，当前所有API均采用HTTPS协议。 Endpoint 承载REST服务端点的服务器 域名 或IP，不同服务在不同区域，Endpoint不同，可以从使用前必读中获取。例如IAM服务在“华北-北京一”区域的Endpoint为iam.cn-north-1.myhuaweicloud.com。 resource-path 资源路径，即API访问路径。从具体API的URI模块获取，例如“获取用户Token”API的resource-path为“/v3/auth/tokens”。 query-string 查询参数，可选，查询参数前面需要带一个“?”，形式为“参数名=参数取值”，例如“limit=10”，表示查询不超过10条数据。 例如您需要获取“华北-北京一”区域的Token，则需使用“华北-北京一”区域的Endpoint（iam.cn-north-1.myhuaweicloud.com），并在获取IAM用户Token（使用密码）的URI部分找到resource-path（/v3/auth/tokens），拼接起来如下所示。 https://iam.cn-north-1.myhuaweicloud.com/v3/auth/tokens 图1 URI示意图 为查看方便，每个具体API的URI，只给出resource-path部分，并将请求方法写在一起。这是因为URI-scheme都是HTTPS，而Endpoint在同一个区域也相同，所以简洁起见将这两部分省略。

企业项目管理 接口 说明 查询企业项目关联的用户组 该接口用于查询指定ID的企业项目所关联的用户组。 查询企业项目关联用户组的权限 该接口用于查询指定ID的企业项目所关联用户组的权限，适用于待查询的企业项目已关联了用户组。 基于用户组为企业项目授权 该接口用于给指定ID的企业项目授权，建立企业项目、用户组和权限的绑定关系。 删除企业项目关联用户组的权限 该接口提供删除某个企业项目关联的用户组权限。 查询用户组关联的企业项目 该接口可用于查询用户组所关联的企业项目。 查询用户直接关联的企业项目 该接口可用于查询用户所关联的企业项目。 查询企业项目直接关联用户 该接口可用于查询企业项目直接关联用户。 查询企业项目直接关联用户的权限 该接口可用于查询企业项目直接关联用户的权限。 基于用户为企业项目授权 该接口可用于基于用户为企业项目授权。 删除企业项目直接关联用户的权限 该接口可用于删除企业项目直接关联用户的权限，

安全设置 接口 说明 修改账号操作保护策略 该接口可以用于管理员修改账号操作保护策略。 查询账号操作保护策略 该接口可以用于查询账号操作保护策略。 修改账号密码策略 该接口可以用于管理员修改账号密码策略。 查询账号密码策略 该接口可以用于查询账号密码策略。 修改账号登录策略 该接口可以用于管理员修改账号登录策略。 查询账号登录策略 该接口可以用于查询账号登录策略。 修改账号控制台访问策略 该接口可以用于管理员修改账号控制台访问策略。 查询账号控制台访问策略 该接口可以用于查询账号控制台访问控制策略。 修改账号接口访问策略 该接口可以用于管理员修改账号接口访问策略。 查询账号接口访问策略 该接口可以用于查询账号接口访问控制策略。

联邦身份认证管理 接口 说明 通过联邦认证获取Token（SP initiated方式） 通过Openstack Client和ShibbolethECP Client获取联邦认证Token。 通过联邦认证获取Token（IdP initiated方式） 以“Client4ShibbolethIdP”脚本为例，介绍IdP initiated方式获取联邦认证Token的方法。 查询身份提供商列表 该接口可以用于查询身份提供商列表。 查询身份提供商详情 该接口可以用于查询身份提供商详情。 创建身份提供商 该接口可以用于管理员注册身份提供商。 修改SAML身份提供商配置 该接口可以用于管理员更新身份提供商。 删除SAML身份提供商 该接口可以用于管理员删除身份提供商。 查询映射列表 该接口可以用于查询映射列表。 查询映射详情 该接口可以用于查询映射详情。 注册映射 该接口可以用于管理员注册映射。 更新映射 该接口可以用于管理员更新映射。 删除映射 该接口可以用于管理员删除映射。 查询协议列表 该接口可以用于查询协议列表。 查询协议详情 该接口可以用于查询协议详情。 注册协议 该接口可以用于管理员注册协议（将协议关联到某一身份提供商）。 更新协议 该接口可以用于管理员更新协议。 删除协议 该接口可以用于管理员删除协议。 查询Metadata文件 该接口可以用于管理员查询身份提供商导入到IAM中的Metadata文件。 查询Keystone的Metadata文件 该接口可以用于查询keystone的Metadata文件。 导入Metadata文件 该接口可以用于管理员导入Metadata文件。 获取联邦认证unscoped token(IdP initiated) 该接口可以用于通过IdP initiated的联邦认证方式获取unscoped token。 获取联邦认证scoped token 该接口可以用于通过联邦认证方式获取scoped token。 获取联邦认证token(OpenID Connect ID token方式) 该接口可以用于通过OpenID Connect ID token方式获取联邦认证token。 获取联邦认证unscoped token(OpenID Connect ID token方式) 该接口可以用于通过OpenID Connect ID token方式获取联邦认证unscoped token。 查询联邦用户可以访问的账号列表 该接口用于查询联邦用户可以访问的账号列表。

委托管理 接口 说明 查询指定条件下的委托列表 该接口可以用于管理员查询指定条件下的委托列表。 查询委托详情 该接口可以用于管理员查询委托详情。 创建委托 该接口可以用于管理员创建委托。 修改委托 该接口可以用于管理员修改委托。 删除委托 该接口可以用于管理员删除委托。 查询全局服务中的委托权限 该接口可以用于管理员查询全局服务中的委托权限。 查询项目服务中的委托权限 该接口可以用于管理员查询项目服务中的委托权限。 为委托授予全局服务权限 该接口可以用于管理员为委托授予全局服务权限。 为委托授予项目服务权限 该接口可以用于管理员为委托授予项目服务权限。 查询委托是否拥有全局服务权限 该接口可以用于管理员查询委托是否拥有全局服务权限。 查询委托是否拥有项目服务权限 该接口可以用于管理员查询委托是否拥有项目服务权限。 移除委托的全局服务权限 该接口可以用于管理员移除委托的全局服务权限。 移除委托的项目服务权限 该接口可以用于管理员移除委托的项目服务权限。 查询委托下的所有项目服务权限列表 该接口可以用于管理员查询委托所有项目服务权限列表。 为委托授予所有项目服务权限 该接口可以用于管理员为委托授予所有项目服务权限。 检查委托下是否具有所有项目服务权限 该接口可以用于管理员检查委托是否具有所有项目服务权限。 移除委托下的所有项目服务权限 该接口可以用于管理员移除委托的所有项目服务权限。

自定义策略管理 接口 说明 查询自定义策略列表 该接口可以用于管理员查询自定义策略列表。 查询自定义策略详情 该接口可以用于管理员查询自定义策略详情。 创建云服务自定义策略 该接口可以用于管理员创建云服务自定义策略。 创建委托自定义策略 该接口可以用于管理员创建委托自定义策略。 修改云服务自定义策略 该接口可以用于管理员修改云服务自定义策略。 修改委托自定义策略 该接口可以用于管理员修改委托自定义策略。 删除自定义策略 该接口可以用于管理员删除自定义策略。

权限管理 接口 说明 查询权限列表 该接口可以用于管理员查询权限列表。 查询权限详情 该接口可以用于管理员查询权限详情。 查询全局服务中的用户组权限 该接口可以用于管理员查询全局服务中的用户组权限。 查询项目服务中的用户组权限 该接口可以用于管理员查询项目服务中的用户组权限。 为用户组授予全局服务权限 该接口可以用于管理员为用户组授予全局服务权限。 为用户组授予项目服务权限 该接口可以用于管理员为用户组授予项目服务权限。 查询用户组是否拥有全局服务权限 该接口可以用于管理员查询用户组是否拥有全局服务权限。 查询用户组是否拥有项目服务权限 该接口可以用于管理员查询用户组是否拥有项目服务权限。 查询用户组的所有项目权限列表 该接口可以用于管理员查询用户组所有项目服务权限列表。 查询用户组是否拥有所有项目指定权限 该接口可以用于管理员查询用户组是否拥有所有项目指定权限。 移除用户组的所有项目服务权限 该接口可以用于管理员移除用户组的所有项目服务权限。 移除用户组的全局服务权限 该接口可以用于管理员移除用户组的全局服务权限。 移除用户组的项目服务权限 该接口可以用于管理员移除用户组的项目服务权限。 为用户组授予所有项目服务权限 该接口可以用于管理员为用户组授予所有项目服务权限。

用户组管理 接口 说明 查询用户组列表 该接口可以用于管理员查询用户组列表。 查询用户组详情 该接口可以用于管理员查询用户组详情。 创建用户组 该接口可以用于管理员创建用户组。 更新用户组 该接口可以用于管理员更新用户组信息。 删除用户组 该接口可以用于管理员删除用户组。 查询IAM用户是否在用户组中 该接口可以用于管理员查询IAM用户是否在用户组中。 添加IAM用户到用户组 该接口可以用于管理员添加IAM用户到用户组。 移除用户组中的IAM用户 该接口可以用于管理员移除用户组中的IAM用户。

项目管理 接口 说明 查询指定条件下的项目列表 该接口可以用于查询指定条件下的项目列表。 查询指定IAM用户的项目列表 该接口可以用于管理员查询指定IAM用户的项目列表，或IAM用户查询自己的项目列表。 查询IAM用户可以访问的项目列表 该接口可以用于查询IAM用户可以访问的项目列表。 创建项目 该接口可以用于管理员创建项目。 修改项目信息 该接口可以用于管理员修改指定项目信息。 查询项目详情 该接口可以用于查询指定项目详情。 设置项目状态 该接口可以用于管理员设置指定项目状态。项目状态包括：正常、冻结。 查询项目详情与状态 该接口可以用于管理员查询指定项目详情与状态。 查询项目配额 该接口可以用于查询指定项目配额。

IAM用户管理 接口 说明 管理员查询IAM用户列表 该接口可以用于管理员查询IAM用户列表。 查询IAM用户详情（推荐） 该接口可以用于管理员查询IAM用户详情，或IAM用户查询自己的用户详情。（可以查询手机号、邮箱） 查询IAM用户详情 该接口可以用于管理员查询IAM用户详情，或IAM用户查询自己的用户详情。（不可以查询手机号、邮箱） 查询IAM用户所属用户组 该接口可以用于管理员查询IAM用户所属用户组，或IAM用户查询自己所属用户组。 管理员查询用户组所包含的IAM用户 该接口可以用于管理员查询用户组中所包含的IAM用户。 管理员创建IAM用户（推荐） 该接口可以用于管理员创建IAM用户。 管理员创建IAM用户 该接口可以用于管理员创建IAM用户。 修改IAM用户密码 该接口可以用于IAM用户修改自己的密码。 修改IAM用户信息（推荐） 该接口可以用于IAM用户修改自己的用户信息。 管理员修改IAM用户信息（推荐） 该接口可以用于管理员修改IAM用户信息 。 管理员修改IAM用户信息 该接口可以用于管理员修改IAM用户信息。 管理员删除IAM用户 该接口可以用于管理员删除指定IAM用户。 查询IAM用户的MFA绑定信息列表 该接口可以用于管理员查询IAM用户的MFA绑定信息列表。 查询指定IAM用户的MFA绑定信息 该接口可以用于管理员查询指定IAM用户的MFA绑定信息，或IAM用户查询自己的MFA绑定信息。 查询IAM用户的登录保护状态信息列表 该接口可以用于管理员查询IAM用户的登录保护状态列表。 查询指定IAM用户的登录保护状态信息 该接口可以用于管理员查询指定IAM用户的登录保护状态信息，或IAM用户查询自己的登录保护状态信息。 修改IAM用户的登录保护状态信息 该接口可以用于管理员修改IAM用户的登录保护状态信息。 绑定MFA设备 该接口可以用于IAM用户绑定MFA设备。 解绑MFA设备 该接口可以用于IAM用户解绑MFA设备。 创建MFA设备 接口可以用于IAM用户创建MFA设备。 删除MFA设备 该接口可以用于管理员删除MFA设备。

Token管理 接口 说明 获取IAM用户Token（使用密码） 该接口可以用于通过用户名/密码的方式进行认证来获取IAM用户Token。 获取IAM用户Token（使用密码+虚拟MFA） 该接口可以用于在IAM用户开启了登录保护功能，并选择通过虚拟MFA验证时，通过用户名/密码+虚拟MFA的方式进行认证来获取IAM用户token。 获取委托Token 该接口可以用于获取委托方的token。 校验Token的有效性 该接口可以用于管理员校验本账号中IAM用户token的有效性，或IAM用户校验自己token的有效性

访问密钥管理 接口 说明 获取委托的临时访问密钥和securitytoken 该接口可以用于通过委托来获取临时访问密钥（临时AK/SK）和securitytoken。 获取用户的临时访问密钥和securitytoken 该接口可以用于通过token来获取临时AK/SK和securitytoken。 创建永久访问密钥 该接口可以用于管理员给IAM用户创建永久访问密钥，或IAM用户给自己创建永久访问密钥。 查询所有永久访问密钥 该接口可以用于管理员查询IAM用户的所有永久访问密钥，或IAM用户查询自己的所有永久访问密钥。 查询指定永久访问密钥 该接口可以用于管理员查询IAM用户的指定永久访问密钥，或IAM用户查询自己的指定永久访问密钥。 修改指定永久访问密钥 该接口可以用于管理员修改IAM用户的指定永久访问密钥，或IAM用户修改自己的指定永久访问密钥。 删除指定永久访问密钥 该接口可以用于管理员删除IAM用户的指定永久访问密钥，或IAM用户删除自己的指定永久访问密钥。

状态码 表1 状态码 状态码 编码 说明 100 Continue 继续请求。 这个临时响应用来通知客户端，它的部分请求已经被服务器接收，且仍未被拒绝。 101 Switching Protocols 切换协议。只能切换到更高级的协议。 例如，切换到HTTP的新版本协议。 201 Created 创建类的请求完全成功。 202 Accepted 已经接受请求，但未处理完成。 203 Non-Authoritative Information 非授权信息，请求成功。 204 NoContent 请求完全成功，同时HTTP响应不包含响应体。 在响应OPTIONS方法的HTTP请求时返回此状态码。 205 Reset Content 重置内容，服务器处理成功。 206 Partial Content 服务器成功处理了部分GET请求。 300 Multiple Choices 多种选择。请求的资源可包括多个位置，相应可返回一个资源特征与地址的列表用于用户终端（例如：浏览器）选择。 301 Moved Permanently 永久移动，请求的资源已被永久的移动到新的URI，返回信息会包括新的URI。 302 Found 资源被临时移动。 303 See Other 查看其它地址。 使用GET和POST请求查看。 304 Not Modified 所请求的资源未修改，服务器返回此状态码时，不会返回任何资源。 305 Use Proxy 所请求的资源必须通过代理访问。 306 Unused 已经被废弃的HTTP状态码。 400 BadRequest 非法请求。 建议直接修改该请求，不要重试该请求。 401 Unauthorized 在客户端提供认证信息后，返回该状态码，表明服务端指出客户端所提供的认证信息不正确或非法，请确认用户名和密码是否正确。 402 Payment Required 保留请求。 403 Forbidden 请求被拒绝访问。 返回该状态码，表明请求能够到达服务端，且服务端能够理解用户请求，但是拒绝做更多的事情，因为该请求被设置为拒绝访问，建议直接修改该请求，不要重试该请求。 404 NotFound 所请求的资源不存在。 建议直接修改该请求，不要重试该请求。 405 MethodNotAllowed 请求中带有该资源不支持的方法。 建议直接修改该请求，不要重试该请求。 406 Not Acceptable 服务器无法根据客户端请求的内容特性完成请求。 407 Proxy Authentication Required 请求要求代理的身份认证，与401类似，但请求者应当使用代理进行授权。 408 Request Time-out 服务器等待请求时发生超时。 客户端可以随时再次提交该请求而无需进行任何更改。 409 Conflict 服务器在完成请求时发生冲突。 返回该状态码，表明客户端尝试创建的资源已经存在，或者由于冲突请求的更新操作不能被完成。 410 Gone 客户端请求的资源已经不存在。 返回该状态码，表明请求的资源已被永久删除。 411 Length Required 服务器无法处理客户端发送的不带Content-Length的请求信息。 412 Precondition Failed 未满足前提条件，服务器未满足请求者在请求中设置的其中一个前提条件。 413 Request Entity Too Large 由于请求的实体过大，服务器无法处理，因此拒绝请求。为防止客户端的连续请求，服务器可能会关闭连接。如果只是服务器暂时无法处理，则会包含一个Retry-After的响应信息。 414 Request-URI Too Large 请求的URI过长（URI通常为网址），服务器无法处理。 415 Unsupported Media Type 服务器无法处理请求附带的媒体格式。 416 Requested range not satisfiable 客户端请求的范围无效。 417 Expectation Failed 服务器无法满足Expect的请求头信息。 422 UnprocessableEntity 请求格式正确，但是由于含有语义错误，无法响应。 429 TooManyRequests 表明请求超出了客户端访问频率的限制或者服务端接收到多于它能处理的请求。建议客户端读取相应的Retry-After首部，然后等待该首部指出的时间后再重试。 500 InternalServerError 表明服务端能被请求访问到，但是不能理解用户的请求。 501 Not Implemented 服务器不支持请求的功能，无法完成请求。 502 Bad Gateway 充当网关或代理的服务器，从远端服务器接收到了一个无效的请求。 503 ServiceUnavailable 被请求的服务无效。 建议直接修改该请求，不要重试该请求。 504 ServerTimeout 请求在给定的时间内无法完成。客户端仅在为请求指定超时（Timeout）参数时会得到该响应。 505 HTTP Version not supported 服务器不支持请求的HTTP协议的版本，无法完成处理。 父主题： 附录

请求示例 创建一个名为“IAMCloudServicePolicy”的自定义策略。策略表示仅允许以项目名称为“cn-north-1”开头的请求获取所有桶ACL的相关信息。 POST https://iam.myhuaweicloud.com/v3.0/OS-ROLE/roles { "role": { "display_name": "IAMCloudServicePolicy", "type": "AX", "description": "IAMDescription", "description_cn": "中文描述", "policy": { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "obs:bucket:GetBucketAcl" ], "Condition": { "StringStartWith": { "g:ProjectName": [ "cn-north-1" ] } }, "Resource": [ "obs:*:*:bucket:*" ] } ] } }}

响应示例 状态码为 201 时: 创建成功。 { "role": { "catalog": "CUSTOMED", "display_name": "IAMCloudServicePolicy", "description": "IAMDescription", "links": { "self": "https://iam.myhuaweicloud.com/v3/roles/93879fd90f1046f69e6e0b31c94d2615" }, "policy": { "Version": "1.1", "Statement": [ { "Action": [ "obs:bucket:GetBucketAcl" ], "Resource": [ "obs:*:*:bucket:*" ], "Effect": "Allow", "Condition": { "StringStartWith": { "g:ProjectName": [ "cn-north-1" ] } } } ] }, "description_cn": "中文描述", "domain_id": "d78cbac186b744899480f25bd...", "type": "AX", "id": "93879fd90f1046f69e6e0b31c9...", "name": "custom_d78cbac186b744899480f25bd022f468_1" }}

响应示例 状态码为 200 时: 请求成功。 { "roles" : [ { "domain_id" : "d78cbac186b744899480f25bd022f...", "updated_time" : "1579229246886", "created_time" : "1579229246886", "description_cn" : "中文描述", "catalog" : "CUSTOMED", "name" : "custom_d78cbac186b744899480f25bd022f468_1", "description" : "IAMDescription", "links" : { "self" : "https://iam.myhuaweicloud.com/v3/roles/93879fd90f1046f69e6e0b31c94d2..." }, "id" : "93879fd90f1046f69e6e0b31c94d2...", "display_name" : "IAMCloudServicePolicy", "type" : "AX", "policy" : { "Version" : "1.1", "Statement" : [ { "Condition" : { "StringStartWith" : { "g:ProjectName" : [ "cn-north-1" ] } }, "Action" : [ "obs:bucket:GetBucketAcl" ], "Resource" : [ "obs:*:*:bucket:*" ], "Effect" : "Allow" } ] } }, { "domain_id" : "d78cbac186b744899480f25bd022f...", "updated_time" : "1579229242358", "created_time" : "1579229242358", "description_cn" : "中文描述", "catalog" : "CUSTOMED", "name" : "custom_d78cbac186b744899480f25bd022f468_0", "description" : "IAMDescription", "links" : { "self" : "https://iam.myhuaweicloud.com/v3/roles/f67224e84dc849ab954ce29fb4f47..." }, "id" : "f67224e84dc849ab954ce29fb4f473...", "display_name" : "IAMAgencyPolicy", "type" : "AX", "policy" : { "Version" : "1.1", "Statement" : [ { "Action" : [ "iam:agencies:assume" ], "Resource" : { "uri" : [ "/iam/agencies/07805acaba800fdd4fbdc00b8f888..." ] }, "Effect" : "Allow" } ] } } ], "links" : { "next" : null, "previous" : null, "self" : "https://iam.myhuaweicloud.com/v3/roles?domain_id=d78cbac186b744899480f25bd022f..." }, "total_number" : 300}

响应示例 状态码为 200 时: 请求成功。 { "role": { "domain_id": "d78cbac186b744899480f25bd02...", "references": 0, "description_cn": "中文描述", "catalog": "CUSTOMED", "name": "custom_d78cbac186b744899480f25bd022f468_11", "description": "IAMDescription", "links": { "self": "https://iam.myhuaweicloud.com/v3/roles/a24a71dcc41f4da989c2a1c900b52d1a" }, "id": "a24a71dcc41f4da989c2a1c900b52d1a", "display_name": "IAMCloudServicePolicy", "type": "AX", "policy": { "Version": "1.1", "Statement": [ { "Condition": { "StringStartWith": { "g:ProjectName": [ "cn-north-1" ] } }, "Action": [ "obs:bucket:GetBucketAcl" ], "Resource": [ "obs:*:*:bucket:*" ], "Effect": "Allow" } ] } }}

错误码 当您调用API时，如果遇到“APIGW”开头的错误码，请参见API网关错误码进行处理。 更多服务错误码请参见API错误中心。 状态码 错误码 错误信息 描述 处理措施 400 1100 缺失必选参数。 缺失必选参数。 请检查请求参数。 400 1101 用户名校验失败。 用户名校验失败。 请检查用户名。 400 1102 邮箱校验失败。 邮箱校验失败。 请检查邮箱。 400 1103 密码校验失败。 密码校验失败。 请检查密码。 400 1104 手机号校验失败。 手机号校验失败。 请检查手机号。 400 1105 xuser_type必须与xdomain_type相同。 xuser_type必须与xdomain_type相同。 请确认xuser_type与xdomain_type是否相同。 400 1106 国家码、手机号必须同时存在。 国家码、手机号必须同时存在。 请检查国家码和手机号是否同时存在。 400 1107 账号管理员不能被删除。 账号管理员不能被删除。 不允许此操作。 400 1108 新密码不能与原密码相同。 新密码不能与原密码相同。 请修改新密码。 400 1109 用户名已存在。 用户名已存在。 请修改用户名。 400 1110 邮箱已存在。 邮箱已存在。 请修改邮箱。 400 1111 手机号已存在。 手机号已存在。 请修改手机号。 400 1113 xuser_id、xuser_type已存在。 xuser_id、xuser_type已存在。 请修改xuser_id和xuser_type。 400 1115 IAM用户数量达到最大限制。 IAM用户数量达到最大限制。 请修改用户配额或联系技术支持。 400 1117 用户描述校验失败。 用户描述校验失败。 请修改用户描述。 400 1118 密码是弱密码。 密码是弱密码。 重新选择密码。 400 IAM.0007 Request parameter %(key)s is invalid. 请求参数校验失败。 请检查请求参数。 400 IAM.0008 Please scan the QR code first. 请先扫描二维码。 请先扫描二维码。 400 IAM.0009 X-Subject-Token is invalid in the request. 请求中的X-Subject-Token校验失败。 请检查请求参数。 400 IAM.0010 The QR code has already been scanned by another user. 此二维码已经被其他人扫描。 无需处理。 400 IAM.0011 Request body is invalid. 请求体校验失败。 请检查请求体。 400 IAM.0072 '%(key)s' is a required property. 请求校验异常。举例：%(key)s为必填属性 请联系技术支持。 400 IAM.0073 Invalid input for field '%(key)s'. The value is '%(value)s'. 输入字段无效。 请联系技术支持。 400 IAM.0077 Invalid policy type. 策略类型错误。 请联系技术支持。 400 IAM.1000 The role must be a JSONObject. 缺少role对象。 检查请求体中是否有role对象。 400 IAM.1001 The display_name must be a string and cannot be left blank or contain spaces. 策略display_name为空或包含空格。 检查display_name字段的值是否正确。 400 IAM.1002 The length [input length] of the display name exceeds 64 characters. 策略display_name不能超过64个字符。 检查display_name字段的长度。 400 IAM.1003 The display_name contains invalid characters. 策略display_name包含非法字符。 检查display_name字段的值是否正确。 400 IAM.1004 The type must be a string and cannot be left blank or contain spaces. type为空。 检查type字段的值是否正确。 400 IAM.1005 Invalid type [input type]. 非法的type字段。 检查type字段的值是否正确。 400 IAM.1006 The custom policy does not need a catalog. 自定义策略不需要catalog。 删除catalog字段。 400 IAM.1007 The custom policy does not need a flag. 自定义策略不需要flag。 删除flag字段。 400 IAM.1008 The custom policy does not need a name. 自定义策略不需要name。 删除name字段。 400 IAM.1009 The type of a custom policy must be 'AX' or 'XA'. 自定义策略的type只能为'AX'或'XA'。 根据需求修改type字段为'AX'或'XA'。 400 IAM.1010 The catalog must be a string. catalog字段必须为字符串。 检查catalog字段的值是否正确。 400 IAM.1011 The length [input length] of the catalog exceeds 64 characters. catalog字段不能超过64个字符。 检查catalog字段的长度。 400 IAM.1012 Invalid catalog. 非法的catalog字段。 检查catalog字段的值是否正确。 400 IAM.1013 The flag must be a string. flag字段必须为字符串。 检查flag字段的值是否正确。 400 IAM.1014 The value of the flag must be 'fine_grained'. flag字段的值应为"fine_grained"。 将flag字段的值修改为"fine_grained"。 400 IAM.1015 The name must be a string and cannot be left blank or contain spaces. name字段不能为空。 系统角色的name字段必须填写。 400 IAM.1016 The length of the name [input name] cannot exceed 64 characters. name字段长度不能超过64字符。 检查name字段的值是否正确。 400 IAM.1017 Invalid name. 非法的name字段。 检查name字段的值是否正确。 400 IAM.1018 Invalid description. 非法的description字段。 检查description字段的值是否正确。 400 IAM.1019 Invalid description_cn. 非法的description_cn字段。 检查description_cn字段的值是否正确。 400 IAM.1020 The policy must be a JSONObject. 缺少policy对象。 检查请求体中是否有policy对象。 400 IAM.1021 The size [input policySize] of the policy exceeds 6,144 characters. policy对象大小超过6144字符。 检查policy对象的长度。 400 IAM.1022 The length [input id length] of the ID exceeds 128 characters. id字段大小超过128字符。 检查id字段的长度。 400 IAM.1023 Invalid ID '[input id]'. 策略id字段无效。 检查id字段的值是否正确。 400 IAM.1024 The version of a fine-grained policy must be '1.1'. 细粒度策略的version不为1.1。 细粒度策略version字段的值应改为1.1。 400 IAM.1025 Fine-grained policies do not need depends. 细粒度策略不需要depends字段。 删除depends字段。 400 IAM.1026 The version of an RBAC policy must be '1.0' or '1.1'. RBAC的verion只能为1.0和1.1。 version字段的值改为1.0或1.1。 400 IAM.1027 The Statement/Rules must be a JSONArray. statement字段不为JSONArray。 检查是否存在statement，类型为json数组。 400 IAM.1028 The number of statements [input statement size] must be greater than 0 and less than or equal to 8. statement字段长度不为1-8。 至少应填写一个statement，删除超过8个的statement。 400 IAM.1029 The value of Effect must be 'allow' or 'deny'. effect字段只能为allow或deny。 effect字段填写allow或deny。 400 IAM.1030 The Action or NotAction must be a JSONArray. action或notAction字段不合法。 检查action对象的值是否正确。 400 IAM.1031 The Action and NotAction cannot be set at the same time in a statement. action和notAction字段不能同时存在。 删除action或notAction字段。 400 IAM.1032 The OCP NotAction cannot be 'allow'. OCP的notAction不能为allow。 OCP策略如果使用notAction则只能为deny。 400 IAM.1033 The number of actions [input action size] exceeds 100. action的数量超过100。 检查action的数量，不能超过100。 400 IAM.1034 The length [input urn length] of an action URN exceeds 128 characters. action长度超过128。 检查每条action的长度，不能超过128字符。 400 IAM.1035 Action URN '[input urn]' contains invalid characters. action包含非法字符。 检查action的值是否正确。 400 IAM.1036 Action '[input action]' has not been registered. action未被注册。 通过注册中心的接口先注册action。 400 IAM.1037 The number of resource URIs [input Resource uri size ] must be greater than 0 and less than or equal to 20. resource数量只能为1-20。 检查resource的数量。 400 IAM.1038 Resource URI '[input resource uri]' is invalid. Old resources only support agencies. 非法的资源URI。 检查每条资源URI的值是否正确。 400 IAM.1039 Old policies do not support conditions. 旧格式策略不支持condition。 删除condition或使用新格式策略。 400 IAM.1040 The number of resources [input Resource size] must be greater than 0 and less than or equal to 10. 资源URI数量只能为1-10。 检查每个resource对象的URI数量。 400 IAM.1041 The resource URI cannot be left blank or contain spaces. 资源URI为空。 检查每条资源URI的值是否正确。 400 IAM.1042 The length [input uri length] of a resource URI exceeds 1,500 characters. 资源URI超过1500字符。 检查每条资源URI的长度。 400 IAM.1043 A region must be specified. 缺少资源region。 资源URI中填写region。 400 IAM.1044 Region '[input resource region ]' of resource '[input resource]' is invalid. Region字段不合法。 检查region字段的值是否正确。 400 IAM.1045 Resource URI '[input resource uri]' or service '[input resource split]' is invalid. 资源URI中服务名无效。 检查云服务名是否正确或先注册云服务。 400 IAM.1046 Resource URI '[input resource]' or resource type '[input resource split]' is invalid. 资源URI中类型无效。 检查资源类型是否正确或先注册资源类型。 400 IAM.1047 Resource URI '[input resource uri]' contains invalid characters. 资源URI不合法。 检查资源URI的值是否正确。 400 IAM.1048 Resource URI '[input resource uri]' is too long or contains invalid characters. 资源URI包含非法字符。 检查id值是否包含非法字符。 400 IAM.1049 The Resource must be a JSONObject or JSONArray. 缺少resource对象。 检查resource对象是否为json数组。 400 IAM.1050 The number of conditions [input condition size] must be greater than 0 and less than or equal to 10. 条件数量只能为1-10。 至少填写一个条件，或删除多余的条件。 400 IAM.1051 The values of Operator '[input operator]' cannot be null. 操作符为空。 填写正确的操作符。 400 IAM.1052 Invalid Attribute '[input attribute ]'. 非法的属性字段。 检查属性的值是否正确。 400 IAM.1053 Attribute '[input attribute]' must be a JSONArray. attribute不为json数组。 检查attribute对象是否为json数组。 400 IAM.1054 The number [input attribute size ] of attributes '[input attribute]' for operator '[input operator]' must be greater than 0 and less than or equal to 10. 每个操作符对应的属性数量只能为1-10。 检查每个操作符下的attribute数量是否正确。 400 IAM.1055 Attribute '[input attribute ]' does not match operator '[input operator]'. 属性与操作符不匹配。 检查attribute和操作符类型是否匹配。 400 IAM.1056 The length [condition length] of attribute '[input attribute]' for operator '[input operator]' must be greater than 0 and less than or equal to 1024 characters. condition长度只能为1-1024。 检查condition对象的总长度。 400 IAM.1057 Value [input condition] of attribute [input attributes] for operator [input operator] contains invalid characters. condition包含非法字符。 检查condtion中是否包括非法字符。 400 IAM.1058 The number of depends [input policyDepends size] exceeds 20. depends数量超过20。 删除多余的depends值。 400 IAM.1059 Invalid key '{}'. 策略包含非法的Key。 修改或删除策略请求体中非法的key。 400 IAM.1060 The value of key '{}' must be a string. 该字段必须为字符串。 display_name和name字段改为字符串类型。 400 IAM.1061 Invalid TOTP passcode. 非法的认证密钥。 请确认请求或联系技术支持。 400 IAM.1062 Login protection has been bound to mfa, the unbinding operation cannot be performed. 登录保护已经绑定MFA认证，解绑操作不能执行。 请确认请求或联系技术支持。 400 IAM.1101 The request body size %s is invalid. 请求体的大小不合规范。 请检查请求体是否为空或过大（大于32KB）。 400 IAM.1102 The %s in the request body is invalid. 请求体中的某个值错误。 请参照接口资料检查请求体中的属性值。 400 IAM.1103 The %s is required in the request body. 请求体中的必选值缺失。 请参照接口资料检查请求体。 400 IAM.1104 The access key %s is in the blacklist. 请求的AK已在黑名单中。 请确认AK是否存在。 400 IAM.1105 The access key %s has expired. 请求的AK已经过期。 请重新创建访问密钥。 400 IAM.1106 The user %s with access key %s cannot be found. 找不到AK所属用户信息。 请确认AK所属用户或委托是否存在。 400 IAM.1107 The access key %s is inactive. 请求的AK已被禁用。 重新启用AK。 400 IAM.1108 The securitytoken has expired. 临时访问密钥已过期。 请重新获取临时访问密钥。 400 IAM.1109 The project information cannot be found. 找不到project信息。 请检查请求体或者token中的project是否存在，如不能解决请联系技术支持。 401 IAM.0001 The request you have made requires authentication. 请求认证失败。 请补充或确认请求认证信息。 401 IAM.0061 Account locked. 用户被锁定。 请等待自动解锁。 401 IAM.0062 Incorrect password. 用户密码错误。 请输入正确的账号密码。 401 IAM.0063 Access token authentication failed. accesstoken认证失败。 请联系技术支持。 401 IAM.0064 The access token does not have permissions for the request. IAM用户没有权限请求。 请确认该IAM用户的权限信息。 401 IAM.0065 HUAWEI IDs registered in European countries cannot log in to HUAWEI CLOUD. 欧洲站点不允许登录。 请输入华为云支持的账号。 401 IAM.0066 The token has expired. token已过期。 传入有效期内的token。 401 IAM.0067 Invalid token. 错误的token。 传入正确的token。 403 IAM.0002 You are not authorized to perform the requested action. 请求未授权。 请确认是否授权成功。 403 IAM.0003 Policy doesn't allow %(actions)s to be performed. 策略未授权此操作。 请确认策略是否授权此操作。 403 IAM.0080 The user %s with access key %s is disabled. AK所属用户被禁用。 联系用户所属租户的安全管理员。 403 IAM.0081 This user only supports console access, not programmatic access. 用户仅支持控制台访问，不支持程序访问。 联系用户所属租户的安全管理员修改用户访问模式。 403 IAM.0082 The user %s is disabled. 用户被禁用。 请联系用户所属租户安全管理员。 403 IAM.0083 You do not have permission to access the private region %s. 您没有私有region的访问权限。 请使用其他region或者联系私有region管理员。 404 IAM.0004 Could not find %(target)s: %(target_id)s. 无法找到请求资源。 请确认请求或联系技术支持。 409 IAM.0005 Conflict occurred when attempting to store %(type)s - %(details)s. 保存请求资源时发生冲突。 请确认请求或联系技术支持。 410 IAM.0020 Original auth failover to other regions, please auth downgrade 源区域Auth服务故障转移至其他区域，系统将自动进行认证降级。 系统将自动进行认证降级。 429 IAM.0012 The throttling threshold has been reached. Threshold: %d times per %d seconds 已达到限流阈值。 请确认请求或联系技术支持。 500 IAM.0006 An unexpected error prevented the server from fulfilling your request. 系统错误。 请联系技术支持。 父主题： 附录

响应示例 状态码为 200 时: 请求成功。 示例1：option为password_regex。 示例2：option为password_regex_description。 示例 1 { "config": { "password_regex": "^(?![A-Z]*$)(?![a-z]*$)(?![\\d]*$)(?![^\\W]*$)\\S{6,32}$" }} 示例 2 { "config": { "password_regex_description": "The password must contain at least two of the following character types: uppercase letters, lowercase letters, digits, and special characters, and be a length between 6 and 32." }}

请求示例 按照条件查询账号密码强度策略，option为password_regex。 GET https://iam.myhuaweicloud.com/v3/domains/{domain_id}/config/security_compliance/password_regex 按照条件查询账号密码强度策略，option为password_regex_description。 GET https://iam.myhuaweicloud.com/v3/domains/{domain_id}/config/security_compliance/password_regex_description

URI GET /v3/domains/{domain_id}/config/security_compliance/{option} 表1 路径参数 参数 是否必选 参数类型 描述 domain_id 是 String 待查询的账号ID，获取方式请参见：获取账号、IAM用户、项目、用户组、区域、委托的名称和ID。 option 是 String 查询条件。该字段内容为：password_regex或password_regex_description。 password_regex：密码强度策略的正则表达式；password_regex_description：密码强度策略的描述。 取值范围： password_regex password_regex_description

响应参数 表3 响应Body参数 参数 参数类型 描述 config Object 配置信息。 表4 config 参数 参数类型 描述 password_regex String 密码强度策略的正则表达式。(当option为password_regex时返回) password_regex_description String 密码强度策略的描述。(当option为password_regex_description时返回)

响应消息体 响应消息体通常以结构化格式返回，与响应消息头中Content-type对应，传递除响应消息头之外的内容。 对于获取IAM用户Token（使用密码）接口，返回如下消息体。为篇幅起见，这里只展示部分内容。 { "token": { "expires_at": "2019-02-13T06:52:13.855000Z", "methods": [ "password" ], "catalog": [ { "endpoints": [ { "region_id": "cn-north-1",...... 当接口调用出错时，会返回错误码及错误信息说明，错误响应的Body体格式如下所示。 { "error_msg": "The format of message is error", "error_code": "AS.0001"} 其中，error_code表示错误码，error_msg表示错误描述信息。

请求示例 修改名为“IAMAgencyPolicy”的委托自定义策略。策略表示作用范围为全局服务，委托资源的URI是/iam/agencies/07805acaba800fdd4fbdc00b8f888c7c。 PATCH https://iam.myhuaweicloud.com/v3.0/OS-ROLE/roles/{role_id} { "role": { "display_name": "IAMAgencyPolicy", "type": "AX", "description": "IAMDescription", "description_cn": "中文描述", "policy": { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "iam:agencies:assume" ], "Resource": { "uri": [ "/iam/agencies/07805acaba800fdd4fbdc00b8f888c7c" ] } } ] } }}

响应示例 状态码为 200 时: 请求成功。 { "role": { "catalog": "CUSTOMED", "display_name": "IAMAgencyPolicy", "description": "IAMDescription", "links": { "self": "https://iam.myhuaweicloud.com/v3/roles/f67224e84dc849ab954ce29fb4f47f8e" }, "policy": { "Version": "1.1", "Statement": [ { "Action": [ "iam:agencies:assume" ], "Resource": { "uri": [ "/iam/agencies/07805acaba800fdd4fbdc00b8f888c7c" ] }, "Effect": "Allow" } ] }, "description_cn": "中文描述", "domain_id": "d78cbac186b744899480f25b...", "type": "AX", "id": "f67224e84dc849ab954ce29fb4f47f8e", "name": "custom_d78cbac186b744899480f25bd022f468_0" }}

响应参数 表8 响应Body参数 参数 参数类型 描述 role Object 自定义策略信息。 表9 role 参数 参数类型 描述 catalog String 自定义策略所在目录。 display_name String 自定义策略展示名。 description String 自定义策略的描述信息。 links Object 自定义策略的资源链接信息。 policy Object 自定义策略的具体内容。 description_cn String 自定义策略的中文描述信息，仅在请求中传入了description_cn参数，响应体中才会返回此字段。 domain_id String 自定义策略所属账号ID。 type String 自定义策略的显示模式。 说明： AX：全局服务。 XA：区域级项目。 自定义策略的显示模式只能为AX或者XA，不能同时在全局服务和区域级项目生效（AA），或者在全局服务和区域级项目都不生效（XX）。 id String 自定义策略ID。 name String 自定义策略名。 updated_time String 自定义策略更新时间。 说明： UNIX时间戳格式，单位是毫秒，时间戳格式如：1687913793000。 created_time String 自定义策略创建时间。 说明： UNIX时间戳格式，单位是毫秒，时间戳格式如：1687913793000。 表10 role.links 参数 参数类型 描述 self String 资源链接地址。 表11 role.policy 参数 参数类型 描述 Version String 权限版本号。 说明： 1.0：系统预置的角色。以服务为粒度，提供有限的服务相关角色用于授权。 1.1：策略。IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。 Statement Array of objects 授权语句，描述自定义策略的具体内容。 表12 role.policy.Statement 参数 参数类型 描述 Action Array of strings 授权项，指对资源的具体操作权限。支持的授权项请参考各云服务《API参考》中“权限和授权项”章节。 说明： 当自定义策略为委托自定义策略时，该字段值为： "Action": ["iam:agencies:assume"]。 Effect String 作用。包含两种：允许（Allow）和拒绝（Deny），既有Allow又有Deny的授权语句时，遵循Deny优先的原则。 取值范围： Allow Deny Resource Object 委托资源，仅在请求中传递此字段，才会返回此对象。在有其他账号与您创建了多个委托关系，即您是被委托方，需要将委托中的权限授权给不同的用户组，这些用户组中的IAM用户进行角色切换时，仅能切换到被授权的委托中，不能切换其他委托。例： "Resource": {"uri": ["/iam/agencies/07805acaba800fdd4fbdc00b8f888c7c"]} 表13 role.policy.Statement.Resource 参数 参数类型 描述 uri Array of strings 委托资源的URI，长度不超过128。格式为：/iam/agencies/委托ID。例： "uri": ["/iam/agencies/07805acaba800fdd4fbdc00b8f888c7c"]

URI PUT /v3.0/OS-PERMISSION/enterprise-projects/{enterprise_project_id}/groups/{group_id}/roles/{role_id} 表1 路径参数 参数 是否必选 参数类型 描述 enterprise_project_id 是 String 企业项目ID。 group_id 是 String 用户组ID。 role_id 是 String 角色ID。 说明： 请确认该角色支持为企业项目授权。查看支持企业项目授权的云服务。

响应示例 状态码为 201 时: 创建成功。 { "credential": { "access": "P83EVBZJMXCYTMUII...", "create_time": "2020-01-08T06:25:19.014028Z", "user_id": "07609fb9358010e21f7bc003751...", "description": "IAMDescription", "secret": "TTqAHPbhWorg9ozx8Dv9MUyzYnOKDppxzHt...", "status": "active" }} 状态码为 400 时: 参数无效。（包括密钥数量已达到上限。） { "error": { "message": "akSkNumExceed", "code": 400, "title": "Bad Request", "error_msg": null, "error_code": null }}

功能介绍 该接口可以用于管理员给IAM用户创建永久访问密钥，或IAM用户给自己创建永久访问密钥。 访问密钥（Access Key ID/Secret Access Key，简称AK/SK），是您通过开发工具（API、CLI、SDK）访问华为云时的身份凭证，不用于登录控制台。系统通过AK识别访问用户的身份，通过SK进行签名验证，通过加密签名验证可以确保请求的机密性、完整性和请求者身份的正确性。在控制台创建访问密钥的方式请参见：访问密钥。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。